İnternet reklamı bilgisayarınızı ele geçirebilir, tıklamasanız bile
- Sıfır tıklamalı casus yazılım, kullanıcının hiçbir şeye tıklamadan, hatta reklamı görmeden bile cihazına bulaşabilen zararlı yazılım anlamına geliyor. Bu saldırıda kullanıcının indirme yapması, izin vermesi veya bir bağlantıya dokunması gerekmiyor. Reklamın sayfada yüklenmesi yeterli olabiliyor.
BAHAR AVJÎN
Toronto Üniversitesi'ne bağlı Citizen Lab, çevrimiçi reklamcılık ekosisteminin casus yazılım dağıtmak için kullanıldığını ortaya koyan bir rapor yayımladı. Rapora göre, hedefli reklamlar üzerinden Al Jazeera'ya bağlı cihazlara Candiru casus yazılımı bulaştırıldı. Araştırmacılar, zero-click spyware (sıfır tıklamalı casus yazılım) kullanılan bu yeni saldırı tekniğine “Adfection” adını verdi.
Sıfır tıklamalı casus yazılım ne demek?
Sıfır tıklamalı casus yazılım, kullanıcının hiçbir şeye tıklamadan, hatta reklamı görmeden bile cihazına bulaşabilen zararlı yazılım anlamına geliyor. Bu saldırıda kullanıcının indirme yapması, izin vermesi veya bir bağlantıya dokunması gerekmiyor. Reklamın sayfada yüklenmesi yeterli olabiliyor. Tarayıcı, reklamın içindeki kodu arka planda çalıştırıyor ve cihaz sessizce içeri sızıyor.
Reklamlar saldırı aracına dönüşüyor
İnternette reklam alanları gerçek zamanlı açık artırmayla satılıyor. Bir siteye girildiğinde saniyeler içinde reklamverenler teklif veriyor ve en yüksek teklif kazanıyor. Bu sistem kullanıcıları çerezler, IP adresleri ve cihaz kimlikleriyle profilliyor. Citizen Lab'e göre bu yapı yalnızca reklam göstermek için değil, hedef kişileri tespit etmek ve onlara casus yazılım bulaştırmak için de kullanılabiliyor.
Raporun merkezinde, kendisini meşru bir çevrimiçi reklamcılık şirketi olarak tanıtan Discover-Tech yer alıyor. Şirketin MyDSP platformu üzerinden Google, Yandex gibi büyük reklam ağlarında reklam satın aldığı belirtiliyor. Reklamlara yerleştirilen gizli kod, reklam gösterildiğinde kullanıcının reklam kimliğini Discover-Tech sunucusuna iletiyor. Sunucu, hedefin uygun olduğuna karar verirse cihaza özel zararlı kod gönderiyor.
Controlium: Casusluk için reklam paneli
Discover-Tech'in Controlium adlı platformu, casus yazılım müşterilerine belirli kullanıcıları hedefleme imkanı tanıyor. Müşteriler bu panelden mobil reklam kimlikleri, tarayıcı çerezleri veya IP adresleriyle hedef seçebiliyor; reklam kampanyaları oluşturup zararlı içerikleri bu kampanyalara bağlayabiliyor. Hangi ülkelerde reklam verileceği gibi kısıtlamalar da tanımlanabiliyor.
Saldırı zinciri: Tıklama gerekmiyor
Rapora göre saldırı şu adımlarla ilerliyor:
• Reklam cihazda görüntüleniyor.
• Reklamın içindeki gizli kod, görünmez bir pencere açarak Candiru'nun doğrulayıcı sunucusuna bağlanıyor.
• Hedef seçilirse (yani kullanıcının hedef olduğuna karar verilirse) cihaza uygun bir güvenlik açığı sömürüsü gönderiliyor.
• 1-3 dakika içinde cihaz ele geçiriliyor, casus yazılım kuruluyor ve uzaktan komuta kanalı açılıyor.
Bu nedenle kullanıcının reklamı tıklaması, indirme yapması veya izin vermesi gerekmiyor. Reklamın sayfada yüklenmesi yeterli olabiliyor.
Al Jazeera ve Candiru bağlantısı
Rapor, tekniğin gerçek dünyadaki ilk teknik kanıtını sunuyor. Al Jazeera'ye bağlı en az 45 cihazın hedef alındığı belirtiliyor. Cihazlar önce Discover-Tech sunucularıyla, ardından Candiru'nun doğrulayıcı sunucusuyla ve son olarak da komuta-kontrol sunucusuyla iletişim kurdu. Al Jazeera, ele geçirilen bir cihazdan Candiru'nun bilinen komuta-kontrol sunucularını içeren kötü amaçlı bir Windows dosyası izole etti. Analiz, örneğin 2021'de yakalanan Candiru saldırı zincirinin daha yeni bir sürümü olduğunu gösterdi. Candiru, yaptırımların ardından “Integrity Labs” adıyla yeniden markalandı; “dürüstlük” anlamına gelen bu isim, şirketin faaliyetleriyle çeliştiği için ayrıca ironik bulunuyor.
Kitlesel gözetim ve kimlik ifşası
Araştırmaya göre Discover-Tech'in reklamları dört aylık dönemde onlarca ülkede yaklaşık 200 bin web sitesi ve uygulamada gösterildi; 4 milyar reklam teklif kaydı incelendi. Raporda, DARK CARTOGRAPHER adlı ayrı bir tehdit aktörünün Discover-Tech altyapısını kullanarak mobil operatörlerdeki güvenlik açıklarını sömürdüğü ve cihaz reklam kimliklerini telefon numaralarıyla eşleştirerek milyonlarca kullanıcının kimliğini ifşa ettiği belirtiliyor.
Rapora göre şirketin reklamları 228 ülkede görüldü. En çok hedeflenen coğrafyalardan biri Filistin oldu. Belçika, Almanya, Hollanda, Karadağ, Seyşeller, İspanya ve İsveç gibi ülkelerde kısa süreli yoğun kampanyalar tespit edildi. Reklamların hükümet ve hükümetler arası ağlara da ulaştığı; Ermenistan Başbakanlık ofisi, İsrail polisi ve Avustralya NSW parlamentosu gibi hedeflerin görüldüğü ifade ediliyor.
Reklam satıcıları harekete geçti
Raporun yayımlanmasının ardından Google, IAB Europe, Beeswax, Vungle ve Eskimi gibi büyük reklam satıcılarının Discover-Tech'in reklam ekosistemine erişimini kestiği belirtiliyor. Citizen Lab, düzenleyicileri Discover-Tech ve Candiru'nun yasaları ihlal edip etmediğini araştırmaya çağırıyor.
Ne yapılabilir?
Uzmanlar, reklam engelleyicilerin yalnızca tarayıcıda değil ağ genelinde kullanılmasını öneriyor. İşletim sistemi ve tarayıcıların güncel tutulması, ağ düzeyinde engelleme araçlarının kullanılması ve "reklama tıklamıyorum, bir şey olmaz" yaklaşımından vazgeçilmesi gerektiği vurgulanıyor. Çünkü bu saldırıda reklamın yüklenmesi yani engellenmemesi bile bulaşma için yeterli olabiliyor.
